Maestro-Telegram-Bot: 280 ETH durch Smart-Contract-Schwachstelle gestohlen

Hacker haben kürzlich eine Schwachstelle in einem Smart Contract des Maestro-Telegramm-Handelsbots ausgenutzt, was zum Diebstahl von 280 Ethereum (ETH) führte, was ungefähr 500.000 US-Dollar entspricht. Der Angriff zielte auf eine externe Aufrufschwäche im Maestro Router 2 Smart Contract ab, wie das Blockchain-Sicherheitsunternehmen Beosin auf Twitter detailliert beschrieb. Die Täter manipulierten die Übertragungsfunktion des Vertrags und leiteten die Token der Nutzer effektiv in ihre eigenen Wallets um.

Darüber hinaus erstreckten sich die Auswirkungen des Vorfalls auf eine beträchtliche Phishing-Operation, bei der 37 Millionen JOE-Token kompromittiert wurden. Die Informationen, übermittelt von der Blockchain-Analysebehörde PeckShield, unterstrichen die Schwere des Sicherheitsverstoßes. Der JOE-Token-Markt reagierte prompt und stürzte um über 30 % ab, was die Situation aufgrund der Unfähigkeit von Maestro verschärfte, JOE-Token zur Rückerstattung an die Nutzer zu beschaffen, da Liquiditätsengpässe bestanden.

Trotz des Aufruhrs entschieden sich die Hacker für zusätzliche Anonymität, indem sie die gestohlenen ETH auf Railgun, ein Privacy-Tool im Kryptobereich, das für die Verschleierung von Transaktionsdetails bekannt ist, bewegten.

Als Reaktion darauf leitete das Maestro-Team schnell Korrekturmaßnahmen ein und sicherte ihre Systeme gegen solche Schwachstellen. Sie versicherten den Nutzern über Kommunikation auf Twitter, dass der aktualisierte Router nun vor Exploits geschützt sei. Sie pausierten jedoch vorübergehend den Handel mit Token, die auf mehreren anderen Swap-Plattformen wie SushiSwap, ShibaSwap und ETH PancakeSwap gepoolt waren.

In einer ermutigenden Maßnahme übernahm Maestro die Verantwortung für die Rückerstattung der Betroffenen. Sie entschlossen sich, die tatsächlichen Token zu kaufen, um eine faire und umfassende Rückerstattung zu gewährleisten, anstatt den Opfern einfach nur ETH zu überweisen. Diese Entscheidung deckte die meisten betroffenen Token ab und markierte ein Engagement für eine gerechte Lösung.

Trotz der schnellen Korrekturmaßnahmen unterstreicht dieser Vorfall die inhärenten Risiken von Handelsbots, die von den Nutzern verlangen, ihre privaten Schlüssel preiszugeben. Solche Praktiken stehen im krassen Widerspruch zum Grundsatz der dezentralen Finanzen – „Not your keys, not your coins“ (Nicht deine Schlüssel, nicht deine Münzen). Es bedeutet einen Kompromiss zwischen potenziellen Gewinnen und der Gefahr, die eigenen privaten Schlüssel preiszugeben, was kryptographisch gleichbedeutend damit ist, die Schlüssel zu seinem Tresor herauszugeben.

Obwohl der Exploit auf die Router-Komponente beschränkt war und keine Wallet-Anmeldeinformationen kompromittierte, hat er eine Welle der Vorsicht in der Krypto-Gemeinschaft ausgelöst. Es ist eine deutliche Erinnerung an die lauernden Schwachstellen in komplexen Systemen und die ständige Wachsamkeit, die erforderlich ist, um digitale Assets zu schützen.